Ejemplo 4: Propietario de bucket que concede permisos entre cuentas para objetos que no le pertenecen

Asegúrese de tener tres Cuentas de AWS y que cada cuenta tenga un usuario administrador, como se muestra en la tabla de la sección anterior.

1. Regístrese para obtener Cuentas de AWS, según sea necesario. Denominamos estas cuentas cuenta A, cuenta B y cuenta C.

2. Con las credenciales de la cuenta A, inicie sesión en la consola de IAM y haga lo siguiente para crear un usuario administrador:

   • Cree al usuario AccountAadmin y tenga en cuenta sus credenciales de seguridad. Para obtener más información sobre cómo agregar usuarios, consulte Creación de un usuario de IAM en su Cuenta de AWS en la Guía del usuario de IAM.

   • Conceda privilegios de administrador a AccountAadmin adjuntando una política de usuario que le conceda acceso total. Para obtener instrucciones, consulte Administración de políticas de IAM en la Guía del usuario de IAM.

   • En el panel de la consola de IAM, tenga en cuenta la URL de inicio de sesión de usuario de IAM. Los usuarios de esta cuenta deben usar esta dirección URL para iniciar sesión en la AWS Management Console. Para obtener más información, consulte Inicio de sesión en la AWS Management Console como usuario de IAM en la Guía del usuario de IAM.

3. Repita el paso anterior para crear usuarios administradores de la cuenta B y de la cuenta C.

Para la cuenta C, tenga en cuenta el ID de usuario canónico.

Cuando crea un rol de IAM en la cuenta A, la política de confianza le concede a la cuenta C el permiso para asumir la función mediante la especificación del ID de la cuenta. Puede buscar la información de la cuenta de la siguiente manera:

1. Utilice el ID de la Cuenta de AWS o el alias de la cuenta, el nombre de usuario de IAM y la contraseña para iniciar sesión en la consola de Amazon S3.

2. Elija el nombre de un bucket de Amazon S3 para ver los detalles de dicho bucket.

3. Elija la pestaña Permissions (Permisos) y, a continuación, elija Access Control List (Lista de control de acceso).

4. En la sección Acceso para la Cuenta de AWS, en la columna Cuenta, hay un identificador largo, por ejemplo, c1daexampleaaf850ea79cf0430f33d72579fd1611c97f7ded193374c0b163b6. Este es el ID de usuario canónico.

Cuando cree una política de bucket, necesitará la siguiente información. Tenga en cuenta estos valores:

Configure AWS Command Line Interface (CLI) o AWS Tools for Windows PowerShell. Asegúrese de guardar las credenciales del usuario administrador de la siguiente manera:

Para obtener instrucciones, consulte Configuración de las herramientas para los tutoriales.

Cree un bucket. Para este ejercicio, se supone que el nombre del bucket es amzn-s3-demo-bucket1.

Para obtener instrucciones, consulte Crear un bucket.

Adjunte la siguiente política de bucket. La política concede permiso condicional al permiso de administrador de la cuenta B para cargar objetos.

Actualice la política proporcionando sus propios valores para amzn-s3-demo-bucket1, AccountB-ID y CanonicalUserId-of-AWSaccountA-BucketOwner.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "111",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::AccountB-ID:user/AccountBadmin"
            },
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket1/*"
        },
        {
            "Sid": "112",
            "Effect": "Deny",
            "Principal": {
                "AWS": "arn:aws:iam::AccountB-ID:user/AccountBadmin"
            },
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket1/*",
            "Condition": {
                "StringNotEquals": {
                    "s3:x-amz-grant-full-control": "id=CanonicalUserId-of-AWSaccountA-BucketOwner"
                }
            }
        }
    ]
}

Antes de crear el rol, prepare la política administrada que define los permisos que requiere el rol. Más tarde, en otro paso, la asociará al rol.

1. En el panel de navegación de la izquierda, elija Políticas y, a continuación, elija Crear política.

2. Junto a Create Your Own Policy, seleccione Select.

3. Escriba access-accountA-bucket en el campo Nombre de la política.

4. Copie la siguiente política de acceso y péguela en el campo Documento de la política. La política de acceso le concede al rol el permiso de s3:GetObject, de manera que cuando el usuario de la cuenta C asuma el rol, solo pueda realizar la operación s3:GetObject.

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "s3:GetObject",
         "Resource": "arn:aws:s3:::amzn-s3-demo-bucket1/*"
       }
     ]
   }

5. Seleccione Crear política.

   La nueva política aparece en la lista de políticas administradas.

En el panel de navegación de la izquierda, elija Roles y, a continuación, elija Creación de rol nuevo.

En Seleccionar tipo de rol, seleccione Rol para acceso entre cuentas y, luego, elija el botón Seleccionar ubicado al lado de Proporcionar acceso entre Cuentas de AWS de su propiedad.

Escriba el ID de la cuenta C.

Para este tutorial, no es obligatorio que los usuarios tengan la autenticación multifactor (MFA) para asumir el rol, por lo que deje esa opción desmarcada.

Seleccione Next Step para establecer los permisos que se asociarán al rol.

Seleccione la casilla de verificación situada junto a la política access-accountA-bucket que creó y, a continuación, elija Siguiente paso.

Aparece la página Review para que confirme las configuraciones de la función antes de crearla. Un elemento muy importante para tener en cuenta en esta página es el enlace que puede enviar a los usuarios que necesitan usar esta función. Los usuarios que hacen clic en el enlace se dirigen directamente a la página Cambio de rol con los campos ID de cuenta y Nombre de rol ya completados. También puede ver este enlace más tarde, en la página Role Summary de cualquier rol con permisos entre cuentas.

Escriba examplerole para el nombre del rol y, luego, elija Siguiente paso.

Después de revisar el rol, elija Crear rol.

La función examplerole se muestra en la lista de funciones.

Elija el nombre del rol examplerole.

Seleccione la pestaña Relaciones de confianza.

Elija Mostrar el documento de política y verifique que la política de confianza que se muestra coincide con la siguiente política.

La siguiente política de confianza establece una relación de confianza con la cuenta C mediante la concesión del permiso para realizar la acción sts:AssumeRole. Para obtener más información, consulte AssumeRole en la Referencia de la API de AWS Security Token Service.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::AccountC-ID:root"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

Tenga en cuenta el nombre de recurso de Amazon (ARN) del rol examplerole que creó.

Más adelante en los pasos siguientes, se asocia una política de usuario para permitirle a un usuario de IAM que asuma esta función y la función se identifica con el valor de ARN.

Con la URL de inicio de sesión de usuario de IAM para la cuenta C, primero inicie sesión en la AWS Management Console como el usuario AccountCadmin.

En la consola de IAM, cree el usuario Dave.

Para obtener instrucciones paso a paso, consulte Creación de usuarios de IAM (AWS Management Console) en la Guía del usuario de IAM.

Tenga en cuenta las credenciales de Dave. Dave necesitará estas credenciales para asumir la función examplerole.

Cree una política integrada para el usuario de IAM Dave a fin de delegar el permiso sts:AssumeRole a Dave en el rol examplerole en la cuenta A.

1. En el panel de navegación de la izquierda, elija Usuarios.

2. Elija el nombre de usuario Dave.

3. En la página de detalles del usuario, seleccione la pestaña Permisos y, luego, expanda la sección Políticas insertadas.

4. Seleccione hacer clic aquí (o Crear política de usuario).

5. Elija Custom Policy y después Select.

6. Escriba un nombre para la política en el campo Nombre de la política.

7. Copie la siguiente política en el campo Documento de la política.

   Debe actualizar la política proporcionando el AccountA-ID.

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": ["sts:AssumeRole"],
         "Resource": "arn:aws:iam::AccountA-ID:role/examplerole"
       }
     ]
   }

8. Seleccione Apply Policy.

Guarde las credenciales de Dave en el archivo de configuración de la AWS CLI mediante la agregación de otro perfil, AccountCDave.

[profile AccountCDave]
aws_access_key_id = UserDaveAccessKeyID
aws_secret_access_key = UserDaveSecretAccessKey
region = us-west-2

En el símbolo del sistema, ejecute el comando assume-role de la AWS CLI con el perfil AccountCDave.

Debe actualizar el valor de ARN en el comando proporcionando el AccountA-ID donde se define examplerole.

aws sts assume-role --role-arn arn:aws:iam::AccountA-ID:role/examplerole --profile AccountCDave --role-session-name test

Como respuesta, AWS Security Token Service (AWS STS) muestra credenciales de seguridad temporales (ID de clave de acceso, clave de acceso secreta y token de sesión).

Guarde las credenciales de seguridad temporales en el archivo de configuración de la AWS CLI en el perfil TempCred.

[profile TempCred]
aws_access_key_id = temp-access-key-ID
aws_secret_access_key = temp-secret-access-key
aws_session_token = session-token
region = us-west-2

En el símbolo del sistema, ejecute el siguiente comando de la AWS CLI para acceder a los objetos con las credenciales temporales. Por ejemplo, el comando especifica la Application Programming Interface (API, Interfaz de programación de aplicaciones) de head-object para recuperar los metadatos de los objetos para el objeto HappyFace.jpg.

aws s3api get-object --bucket amzn-s3-demo-bucket1 --key HappyFace.jpg SaveFileAs.jpg --profile TempCred

Como la política de acceso asociada con la función examplerole permite las acciones, Amazon S3 procesa la solicitud. Puede probar cualquier otra acción en cualquier otro objeto del bucket.

Si prueba cualquier otra acción, por ejemplo, get-object-acl, se le negará el permiso porque no se le permite esa acción al rol.

aws s3api get-object-acl --bucket amzn-s3-demo-bucket1 --key HappyFace.jpg --profile TempCred

Usamos el usuario Dave para asumir la función y obtener acceso al objeto con credenciales temporales. También podría ser una aplicación en la cuenta C que obtuviera acceso a los objetos en el bucket amzn-s3-demo-bucket1. La aplicación puede obtener las credenciales de seguridad temporales y la cuenta C puede delegar el permiso de la aplicación para asumir la función examplerole.

Después de que haya terminado de probar, puede realizar lo siguiente para limpiar:

1. Inicie sesión en la AWS Management Console con las credenciales de la cuenta A y haga lo siguiente:

   • En la consola de Amazon S3, elimine la política de bucket asociada a amzn-s3-demo-bucket1. En Propiedades del bucket, elimine la política en la sección Permisos.

   • Si se creó el bucket para este ejercicio, en la consola de Amazon S3, elimine los objetos y luego elimine el bucket.

   • En la consola de IAM, elimine el examplerole que ha creado en la cuenta A. Para obtener instrucciones paso a paso, consulte Eliminación de un usuario de IAM en la Guía del usuario de IAM.

   • En la consola de IAM, quite el usuario AccountAadmin.

Inicie sesión en la consola de IAM con las credenciales de la cuenta B. Elimine el usuario AccountBadmin.

Inicie sesión en la consola de IAM con las credenciales de la cuenta C. Elimine AccountCadmin y el usuario Dave.